Les sites du même sous-réseau peuvent contourner le proxy transparent d’une passerelle
Explique pourquoi le trafic d’un même sous-réseau peut contourner une règle d’interception de la passerelle alors que les requêtes Internet apparaissent dans son journal.
La navigation sur Internet apparaît dans le journal du proxy de la passerelle. Un site du réseau local du bureau, non. Avant de modifier le filtre d’URL, déterminez si la requête locale a seulement atteint la passerelle.
Pour une destination IPv4 connectée directement, le client peut résoudre l’adresse de couche liaison de la destination et lui envoyer sur le segment local. Sa passerelle par défaut n’est pas forcément sur ce chemin. Une règle d’interception transparente sur la passerelle ne peut pas rediriger des paquets qu’elle ne reçoit jamais.
Par exemple, deux hôtes du même sous-réseau lié peuvent échanger du trafic via un commutateur tandis que la machine proxy est reliée à un autre port du commutateur. Le seul fait d’être sur ce réseau local ne fait pas du proxy le point de transfert.
Choisir le chemin voulu
Un réglage de proxy explicite peut envoyer la requête de l’application participante au proxy même lorsque le site cible est local. Vérifiez aussi les règles de contournement et les décisions PAC : elles peuvent choisir délibérément DIRECT pour des noms ou adresses privés.
Si l’interception est requise, le réseau doit réellement placer le point d’interception sur le chemin ; sur une passerelle Linux, distinguez les chemins de paquets locaux et transférés. Une séparation de sous-réseaux routée ou un pont délibérément en ligne peuvent le faire dans des conceptions adaptées, mais chacun modifie le comportement de transfert et de panne. Un pont ailleurs sur le réseau local n’est pas automatiquement en ligne.
Gardez l’exigence de protocole applicatif à part. Même après le passage du trafic par la machine, l’écouteur doit prendre en charge le mode d’interception. Déplacer les paquets n’autorise pas à déchiffrer HTTPS et ne garantit pas qu’un port SOCKS ordinaire puisse les accepter.
Consignez la route choisie par le client, le segment local et le dispositif de transfert réel. Un journal de proxy absent peut être une description correcte de la topologie plutôt qu’une défaillance de journalisation.